Az adatok biztonsága - ahogy azt a GDPR bevezetése is mutatja - egyre inkább kulcskérdés. Egy-egy nagyobb adatszivárgás sokszor végzetes következményekkel jár a felhasználókra nézve, arról nem is beszélve, hogy nem ritkán a cégek is belebuknak a botrányba. Szerencsére ma már az ilyen szivárogtatások gyorsan tetten érhetők, a rossz szándékú adatgyűjtőket pedig több ponton is meg lehet állítani. A tanulságokat azonban minden esetben le kell vonni. Íme 5 nagy cég példája, akik nagyon hanyagul kezelték az adatokat.
Mit jelent az, hogy adatszivárgás?
Gyakorlati szempontból az adat fogalma nem mindig egyértelműen megfogalmazható. Adatnak számít egy program forráskódja, egy felhasználó tevékenységéről gyűjtött információ, de a regisztrációkor megadott e-mail cím és jelszó is.
A felhasználókat általában a személyes adatok kiszivárgása érinti a legközvetlenebb módon. Az egyik legnagyobb streaming szolgáltató, a Netflix például rendszeresen küzd azzal a problémával, hogy a felhasználók jelszavait gyakran idegenek is ismerik és a nézők saját adataival jelentkeznek be a szolgáltatásba. A dark weben számos email címeket és jelszavakat tartalmazó lista kering. A felhasználók egy része mindenhol ugyanazt a jelszót (és e-mail címet) használja. Egy 2-3 ezer email-jelszó párost tartalmazó dokumentumból tehát jó eséllyel “ki lehet bányászni” számos fiók adatait.
Természetesen nem csak ennyire egyszerű adatok kerülhetnek ki egy óvatlan cég kezei közül. Üzleti titkok, személyazonosításra alkalmas információk, címlisták, programok forráskódjai és sok más olyan érzékeny információ is, amit az adott vállalat vagy annak ügyfelei nem szívesen osztanának meg a konkurenciával vagy a nagyvilággal. A szivárgás ellen azonban 100%-os védelem nincsen, csak nagyon komoly rendszerekkel és maximális fegyelemmel lehet csökkenteni a baj bekövetkezésének esélyét..
Az adatszivárgások leggyakoribb okai:
- Hacker támadás: Van, amikor valaki rosszindulatúan betör a rendszerbe és egyszerűen elrabolja a titkokat. Ezért fontos figyelni a gyanús jeleket és megfelelő tárhelyszolgáltatót választani, valamint akár penetration testinggel felfedni és javítani a rendszer gyengepontjait.
- Belső szivárogtatás: Elképzelhető, hogy valaki belülről ad ki információt. Ez lehet egy felmondási idejét töltött kolléga, egy zsarolóvírus rémült áldozata vagy a social engineering által behálózott munkatárs is. Az ilyen esetek ellen kizárólag a megfelelő céges kultúra és a helyesen megszervezett információs hozzáférési szintek tudnak segíteni.
- Rossz IT biztonság: Bár sok támadás megelőzhető lenne, még mindig szép számmal akadnak cégek, akik szinte semmit sem tesznek azért, hogy megelőzzenek egy-egy ballépést. A szivárgást végül valamilyen nagy rendszer ismert hibája vagy az általános hanyagság okozza.
- Elveszett eszköz: Egészen banális hiba, de néha egy elveszett laptop, telefon, kocsiban felejtett pendrive okozhat hatalmas bajt.
- Váratlan ballépés: Nem is olyan ritkán pedig teljesen véletlen ballépés okozza a bajt. Egy rossz helyre küldött e-mail, elgépelés, véletlenül bemásolt képernyőfotó is komoly fejfájást okozhat.
5 nagy adatszivárgás
A nagyobb cégek esetében általában két dolog okoz gondot. Vagy olyan adatok kerülnek a nyilvánosságra, amelyek komoly presztízsveszteséget okoznak (például egy partner titkai vagy egy nem túl jól hangzó belső utasítás), vagy nagy mennyiségű információ kerül nyilvánosságra (például milliónyi felhasználó valós - és jól spammelhető - e-mail címe).
Szerencsére az adatokat ma már sokféleképpen védik. Ahhoz, hogy az adatszivárgás tényleg nagy károkat okozzon, többnyire sok tényező összejátszása szükséges. Az adat-tolvajnak például jó sajtókapcsolatokkal kell rendelkeznie, hogy valóban nagy csorbát ejtsen a cég hírnevén a hanyagság, vagy olyan célra kell használnia a felhasználó email címét és jelszavát, amit más eszközzel, például kétfaktoros hitelesítéssel nem védenek.
Néha a legnagyobbak is hibáznak, és akadnak olyan cégek, akik tanultak a nagy botrányból és talpra is álltak ezek után. Lássunk öt tévedést, amely megakadályozható lett volna!
1. Canva
Az ausztrál grafikai szolgáltatást rengeteg cég használja. Az egyszerű technikának köszönhetően a social media managerek is nagyon kedvelik, de előszeretettel használják marketing ügynökségek és rendezvényszervezők is. Csupa olyan szakember, akik rengeteg szolgáltatást használnak és gyakran magas szintű felhasználói a céges rendszereknek. Emellett azonban nem feltétlenül rendelkeznek a naprakész biztonsági ismeretekkel...
2019-ben egy támadás során a hackerek 137 millió felhasználó adataihoz fértek hozzá. Szerencsére igazán gigászi kárt nem tudtak okozni, mert csak megtekinteni és nem lemásolni tudták a felhasználók kártyaadatait, ezeket is csak részlegesen. A legnagyobb veszélyben talán az a 61 millió felhasználó volt, akik nem valamilyen közösségimédia-fiókkal, hanem a saját jelszó-felhasználónév párosukkal jelentkeztek be - az ő jelszavukhoz ugyanis hozzájutottak a támadók.
A hackertámadás után a Canva minden felhasználót azonnal figyelmeztetett, aki pedig nem cserélt jelszót idejében, annak érvénytelenítették a bejelentkezését. Az ügyben végül nagyjából 4 millió jelszóhoz jutottak hozzá a tolvajok.
2. Adobe
Egy 2013-as botrány az Adobe-nak legalább 1,1 millió dollárjába került. Ennyi kártérítés fizetésére kötelezték a céget, amikor több mint 150 millió ügyfél adatai kerültek napvilágra, szintén egy hackertámadás következtében. A helyzetet súlyosbította, hogy a támadók számos fiókban a banki adatokhoz is hozzáfértek.
3. LinkedIn
A szociális kapcsolatépítő oldalt első sorban üzletemberek és cégek használják kapcsolatépítésre és munkakeresésre, de egyre többen osztanak meg tartalmakat is. A napjainkban egyre népszerűbbé váló platformnak azonban van egy sötét oldala is. Sokan használják az itt található adatokat social engineering támadás céljából is. Miközben információ után kutatunk, érdemes utána nézni, kitől származik az adott megosztás.
2016-ban jelezte valaki, hogy egy orosz hacker fórumon egy illető mindössze 5 bitcoin-ért több mint 165 millió LinkedIn felhasználó adatait árusítja. Napvilágra került, hogy ugyanarról a hackerről van szó, aki korábban a MySpace-ről is megszerzett hasonló adatokat. Kiderült, hogy a jelszavak egy része még egy nagy 2012-es támadásból származott. A LinkedIn akkor úgy számította, 6,5 millió jelszó tűnhetett el. Négy év kellett hozzá, hogy kiderüljön, hogy ez a szám sajnos jóval nagyobb.
Szerencsére a LinkedIn ma már egyre komolyabb platformmá válik, így a biztonság is sokat javult. Érdemes azonban gyakran változtatni a jelszót, és ügyelni arra, hogy véletlenül se itt beszéljünk vállalati titkokról.
4. MySpace
A felhasználók adatai 2013-ban nem csak a dark webre, hanem a LeakedSource.ru nevű, azóta már megszüntetett orosz adatbázisba is kereshető formában kerültek fel. A botrány 360 millió felhasználó fiókját érintette, nagyrészt azokét, akik az év júniusa előtt regisztráltak még a régi típusú MySpace platformon.
5. Yahoo
Az egykori keresőóriás 2016-ban jelentette be, hogy két évvel korábban 500 millió felhasználó adatai, például a valós neve, születési ideje, e-mail címe és jelszava szivároghatott ki, szerencsére ez utóbbiak titkosított formában. 2017-ben egy másik, még 2013-ra datálható adatszivárgást is sikeresen felderített a cég. Az adatokat hamarosan korrigálták, és kiderült, valószínűleg a Yahoo mind a 3 milliárd felhasználója érintett.
A cég arra gyanakszik, hogy az ügybe “kormányzati erők” is beavatkoztak, így lehetett ez minden idők legnagyobb adatlopási bűncselekménye. A Yahoo igyekezett mindent megtenni a károk enyhítésére, de alaposan ráfizetett a botrányra: a Verizon éppen felvásárolni készült a vállalatot, amikor a gondok kiderültek. Az adatszivárgás 350 millió dollárral csökkentette a Yahoo vételárát.
Ahogyan látszik, egyetlen apró szivárgás - mint egy elveszett pendrive esete - is hatalmas károkat képes okozni, de aktív kommunikációval és felderítéssel a cég akár a milliárdos nagyságrendű sérüléseket is túlélheti. Ennek azonban előfeltétele az aktív védekezés és a megfelelően kiépített rendszerek megléte. Ennek kialakításában bármikor szívesen nyújtunk segítséget tapasztalt csapatunkkal. Fordulj hozzánk bizalommal, ha biztonságos rendszert szeretnél kiépíteni!